Nærbilde av hender som holder et nettbrett som viser tekst.

Hva er en risikovurdering for cybersikkerhet?

Finn ut hva en risikovurdering for cybersikkerhet innebærer, og hvordan den hjelper organisasjoner med å sette i verk proaktive og robuste sikkerhetstiltak.

Utforsk enhetlig SecOps levert av kunstig intelligens

Forstå en risikovurdering for cybersikkerhet

En risikovurdering for cybersikkerhet gir en strukturert måte å identifisere, vurdere og håndtere sårbarheter som kan utsette organisasjonen for risiko. I stedet for å reagere på hendelser støtter denne proaktive tilnærmingen bedre beslutninger og langsiktig robusthet. Den gir team en tydeligere forståelse av potensielle trusler og hjelper med å prioritere stegene som trengs for å styrke forsvaret, beskytte sensitive data og oppfylle regulatoriske krav.

Viktige hovedpunkter

En risikovurdering for cybersikkerhet hjelper organisasjoner med å identifisere, vurdere og redusere sårbarheter proaktivt på tvers av systemer, personer og prosesser.
Regelmessige vurderinger støtter etterlevelse, minimerer forstyrrelser og styrer smartere investeringer i sikkerhetskontroller.
Viktige steg inkluderer å definere omfanget, identifisere ressurser, vurdere trusler og sårbarheter, evaluere kontroller og prioritere risikoer.
Bruk av vanlige rammeverk som NIST og MITRE ATT&CK® sikrer at vurderingene er konsistente, skalerbare og handlingsrettede.
Risikovurderinger bør være løpende, med funn integrert i forretningsplanleggingen og kontinuerlig oppdatert etter hvert som systemer og risikoer endrer seg.

Hvorfor en risikovurdering for cybersikkerhet er viktig

Med mangel på sikkerhetsekspertise og en økning i sky- og KI-drevne trusler, gir en risikovurdering av nettsikkerhet organisasjoner et klarere bilde av hvor de står og hva som trenger oppmerksomhet før en hendelse inntreffer.

Dette er grunnen til at det er viktig:

Gir proaktiv sikkerhet. Ved å identifisere risikoer tidlig kan du unngå kostbar nedetid, datatap og driftsavbrudd.
Beskytter sensitive data. Når du forstår hvor sensitiv informasjon finnes og hvordan den kan bli eksponert, kan du sette inn riktige beskyttelsestiltak før en hendelse oppstår.
Støtter samsvar. Mange regelverk, som EUs personvernforordning (GDPR), Den amerikanske loven Health Insurance Portability and Accountability Act (HIPAA) og Sarbanes-Oxley Act (SOX), krever risikovurderinger som en del av det løpende etterlevelsesarbeidet.
Veileder smarte investeringer. Den viser organisasjoner hvor de bør bruke tid og ressurser, i stedet for å gjette eller reagere etter et angrep.
Reduserer menneskelige og systemiske feil. Ved å avdekke hull i retningslinjer, prosesser og opplæring hjelper den med å minimere feil som fører til datainnbrudd.
Bygger motstandskraft og tillit. Regelmessige vurderinger styrker evnen til å respondere og gjenopprette, og viser kunder, partnere og tilsynsmyndigheter at sikkerhet tas på alvor.

Viktige komponenter i en risikovurdering for cybersikkerhet

En omfattende risikovurdering for cybersikkerhet evaluerer flere lag i organisasjonens sikkerhetsnivå, fra teknisk infrastruktur til menneskelige faktorer. Dette gjør det mulig for organisasjoner å identifisere risikoer systematisk og utvikle målrettede strategier for å redusere dem.

Kjerneelementer i en risikovurdering for cybersikkerhet

En godt strukturert risikovurdering omfatter flere viktige steg:

1. Definer omfanget

En risikovurdering for cybersikkerhet starter med å definere omfanget. Det betyr å identifisere nøyaktig hvilken del av organisasjonen som skal vurderes, enten det er en bestemt forretningsenhet, et program eller hele IT-miljøet i virksomheten. Et tydelig omfang hindrer blindsoner og hjelper med å holde fokus. Det bør omfatte:

Fysisk infrastruktur som servere, stasjonære PC-er, mobile enheter og IoT-endepunkter.
Programvaresystemer som interne verktøy, skyplattformer, tredjepartsprogrammer og databaser.
Nettverkslaget, inkludert segmentering, ekstern tilgang og eksternt tilgjengelige tjenester.
Personer, inkludert brukerroller, tilgangsnivåer og digitale aktiviteter for ansatte, konsulenter og leverandører.

2. Identifiser ressurser

Når omfanget er fastsatt, er neste steg å identifisere ressurser. Det innebærer å kartlegge alt som har verdi innenfor det definerte omfanget og som støtter virksomheten. Ressurser inkluderer:

Fysisk maskinvare som bærbare PC-er, servere, rutere og lagringsenheter.
Programvaresystemer som operativsystemer, bransjeapplikasjoner, sikkerhetsverktøy og egendefinert kode.
Nettverksinfrastruktur, inkludert trådløse tilgangspunkter, VPN-er, brannmurer og DNS-systemer.
Personer, som ansatte, administratorer, tredjepartsbrukere og tilhørende identitets- og tilgangslegitimasjon.

Hver ressurs bør klassifiseres ut fra hvor kritisk den er for virksomheten.

3. Identifiser trusler

En trussel er enhver potensiell hendelse, aktør eller tilstand som kan forårsake skade ved å utnytte en sårbarhet i et system, nettverk, program eller en prosess. Det er delen med "hva som kan gå galt" i et risikoscenario.

Trusler kan være:

Bevisst, som en nettkriminell som iverksetter et phishing-angrep eller en innsideperson som misbruker tilgangen sin.
Utilsiktet, som en feilkonfigurert brannmur eller en ansatt som sender sensitive data til feil person.
Miljømessig, inkludert branner, oversvømmelser eller strømbrudd som forstyrrer driften eller skader utstyr.

De kan rette seg mot maskinvare (som å stjele en bærbar PC), programvare (ved å utnytte en feil i et program), nettverk (ved å fange opp ukryptert trafikk) eller personer (ved å lure brukere til å dele passord).

4. Vurder sårbarheter

En sårbarhet er en svakhet i et system, program, en prosess eller menneskelig atferd som en trussel kan utnytte for å forårsake skade eller uautoriserte utfall. Det er "delen med hvordan ting kan gå galt" i et risikoscenario.

Sårbarheter kan vise seg på mange måter:

Maskinvare. Ukrypterte bærbare PC-er, utdatert fastvare eller usikrede porter.
Programvare. Programmer uten oppdateringer, standardlegitimasjon eller kode som ikke er sikker.
Nettverk. Åpne porter, svak kryptering eller dårlig segmentering.
Menneskelige faktorer. Gjenbrukte passord, manglende opplæring eller for omfattende tilgangsrettigheter.

En sårbarhet fører ikke automatisk til en hendelse, men når den kombineres med en relevant trussel, åpner den døren for risiko. For eksempel er en webserver som kjører utdatert programvare, sårbar. Hvis en trusselaktør skanner etter den sårbarheten og utnytter den, kan organisasjonen bli utsatt for et databrudd.

5. Evaluer eksisterende kontroller

Når trusler og sårbarheter er identifisert, er det på tide å vurdere kontrollene som allerede er på plass for å redusere dem. Kontroller faller inn i tre brede typer:

Forebyggende. Som brannmurer, antivirusprogramvare og flerfaktorautentisering.
Detektiv. Inkludert systemer for innbruddsoppdagelse og verktøy for sikkerhetsinformasjon og sikkerhetshendelsesstyring (SIEM).
Korrigerende kontroller. Eksempler er sikkerhetskopier og beredskapsplaner for nødgjenoppretting.

Det er viktig å vurdere dekningen på tvers av:

Maskinvare. Finnes fysiske sikkerhetstiltak som adgangskort, enhetskryptering eller sikre rutiner for kassering?
Programvare. Er patchhåndtering og sikre utviklingspraksiser på plass?
Nettverk. Segmenterer du trafikk, logger på riktig måte og bruker TLS for kryptert kommunikasjon?
Mennesker. Er de ansatte opplært i bevissthet rundt phishing? Følger tilgangspolicyene prinsippet om minste privilegium?

Denne vurderingen gir innsikt i hvor effektive de nåværende forsvarene er, og hvor det fortsatt finnes hull.

6. Identifiser sannsynlighet og konsekvens

For hvert identifiserte risikoscenario, anslå:

Sannsynlighet. Hvor sannsynlig er trusselen, med tanke på de nåværende kontrollene?
Påvirkning. Hva ville skje hvis den lyktes – økonomisk tap, datalekkasjer, nedetid?

Vurder driftsforstyrrelser, bøter fra tilsynsmyndigheter, omdømmetap og driftskostnader. Maskinvare- eller nettverksfeil kan for eksempel føre til omfattende driftsavbrudd, mens et phishingangrep kan føre til datatap gjennom kompromitterte legitimasjoner.

7. Beregn risiko

Kombiner nå sannsynlighet og konsekvens for å fastsette en risikovurdering for hvert scenario.

Eksempel:

Risikoscenario	Sannsynlighet	Innvirkning	Risikonivå
Løsepengevirus på utdaterte servere	Høy	Høy	Kritisk
Feilkonfigurert brannmurregel	Middels	Middels	Moderat
Phishing-e-post som omgår filtre	Høy	Lav	Moderat

Dette hjelper deg med å prioritere hvilke problemer som krever rask handling, og hvilke som er akseptable eller tålelige.

8. Anbefal tiltak

For hver høy eller kritisk risiko bør du foreslå tiltak for å redusere den. Anbefalingene kan omfatte:

Maskinvare. Krev kryptert lagring, sikre oppstartsinnstillinger og lås ned porter som ikke er i bruk.
Programvare. Sett opp regelmessig oppdatering og bruk kodeanalyseverktøy i utviklingsløpet.
Nettverk. Innfør nettverkssegmentering og ta i bruk systemer for inntrengingsforebygging.
Mennesker. Utvid opplæring i sikkerhetsbevissthet, og håndhev strengere tilgangskontroller og identitetsbekreftelse.

Anbefalingene bør balansere risikoreduksjon med kostnad, kompleksitet og påvirkning på brukervennlighet.

9. Dokumenter og rapporter

En grundig risikovurdering bør dokumenteres tydelig og deles med interessenter på flere nivåer. Rapporten inneholder vanligvis en overordnet oppsummering for ledelsen, detaljerte tekniske funn for IT- og sikkerhetsteam, samt prioriterte handlingspunkter. Visuelle elementer som varmekart, arkitekturdiagrammer og tabeller bidrar ofte til å formidle komplekse risikoer mer effektivt. Dokumentasjonen bør inneholde en oversikt over ressurser, identifiserte trusler og sårbarheter, nåværende kontroller, risikovurderinger og anbefalte tiltak. Rapporten bør også angi hvem som har ansvar for hver handling, og når oppfølgingsvurderinger er planlagt. Åpenhet og tydelighet bidrar til å få med seg støtte og samordne team.

10. Gjennomgå og gjenta

Risikovurderinger er ikke noe du gjør bare én gang – de er en del av en løpende syklus. Teknologien utvikler seg, forretningsprosessene endrer seg, og nye trusler dukker stadig opp. Her er noen tips som hjelper deg med å holde deg robust og forberedt.

Planlegg regelmessige vurderinger (kvartalsvis, årlig eller etter større endringer).
Automatiser der det er praktisk mulig (kontinuerlig sårbarhetsskanning, overvåking av endepunkter).
Juster kontrollene etter hvert som nye risikoer dukker opp – spesielt rundt fjernarbeid, avhengigheter i leverandørkjeden eller generative KI-verktøy.

Metoder for å gjennomføre en risikovurdering for cybersikkerhet

Risikovurdering for cybersikkerhet bygger på en kombinasjon av automatiserte verktøy og manuelle teknikker for å identifisere og analysere sårbarheter. Vanlige tilnærminger inkluderer:

Automatiserte skanneverktøy som identifiserer sikkerhetshull i nettverk, endepunkter og skymiljøer.
Penetrasjonstesting som simulerer virkelige cyberangrep for å teste sikkerhetsforsvar.
Sikkerhetsrevisjoner som evaluerer sikkerhetspolicyer, samsvar og styringskontroller.
Atferdsanalyse som overvåker digital aktivitet for avvik som kan tyde på interne trusler eller kompromitterte kontoer.

Bruk av flere metoder bidrar til å sikre en grundig vurdering som fanger opp både tekniske og menneskelige risikoer.

Bransjerammeverk og standarder

For å sikre konsistens og etterlevelse følger risikovurdering for cybersikkerhet ofte etablerte rammeverk, som:

NIST Cybersecurity Framework er utviklet av National Institute of Standards and Technology, et amerikansk statlig organ uten reguleringsmyndighet, og gir retningslinjer for å identifisere, beskytte, oppdage, respondere på og gjenopprette etter cybertrusler.
ISO/IEC 27001 fastsetter en internasjonal standard for styringssystemer for informasjonssikkerhet.
CIS Controls beskriver anbefalte fremgangsmåter for å sikre IT-miljøer.

Fordeler og utfordringer ved en risikovurdering for cybersikkerhet

Å gjennomføre regelmessige risikovurdering for cybersikkerhet er et strategisk grep som støtter både sikkerhetsmål og forretningsprioriteringer. Selv om prosessen har utfordringer, veier fordelene langt tyngre enn vanskelighetene.

Fordeler

Når det gjøres konsekvent, hjelper risikovurdering for cybersikkerhet organisasjoner med å styrke forsvaret og bygge langsiktig robusthet. Nøkkelfordeler inkluderer:

Forbedret sikkerhetstilsstatus. Regelmessige vurderinger bidrar til å identifisere og håndtere svakheter før angripere kan utnytte dem. Dette fører til et mer robust og responsivt sikkerhetsrammeverk.
Overholdelse av regelverk. Mange bransjer må oppfylle cybersikkerhetsstandarder. Risikovurderinger støtter overholdelse av forskrifter som GDPR og HIPAA.
Proaktiv beskyttelse. Vurderinger hjelper team med å oppdage sårbarheter tidlig, forhindre brudd og minimere mulig skade. Dette er mer effektivt — og mer kostnadseffektivt — enn å reagere etter en hendelse.
Ressurs- og kostnadsstyring. Ved å prioritere de mest kritiske risikoene kan organisasjoner bruke budsjett, personell og verktøy smartere. Risikovurderinger bidrar til å sikre at ressurser fordeles til områdene som betyr mest.

Vanlige utfordringer

Til tross for verdien kan risikovurdering for cybersikkerhet by på utfordringer, særlig for voksende organisasjoner eller team med begrenset erfaring. Noen vanlige utfordringer inkluderer:

Mangel på intern ekspertise. Mange team har ikke riktig sammensetning av ferdigheter til å vurdere komplekse miljøer.
Tid- og ressursbegrensninger. Grundige vurderinger krever innsats, koordinering og en tydelig prosess, noe som kan være vanskelig uten dedikert støtte.
Ujevn gjennomføring. Uten en standardisert tilnærming eller et rammeverk kan vurderinger variere i kvalitet og omfang.
Å holde tritt med endringer. Ny teknologi, skymiljøer og hybride arbeidsmodeller fører til løpende kompleksitet.
Flere ulike sikkerhetsverktøy. Det kan være vanskelig å vurdere risiko for organisasjoner som bruker mange sikkerhetsverktøy som ikke er godt integrert.

For å håndtere disse utfordringene må man ofte hente inn ekstern ekspertise, ta i bruk automatisering eller bruke standardiserte verktøy og rammeverk.

Kostnaden ved å hoppe over risikovurderinger

Selv om det kan være vanskelig, er det viktig å begynne å etablere en effektiv prosess for risikovurdering for cybersikkerhet. Hvis regelmessige vurderinger uteblir, kan konsekvensene bli alvorlige. Uten innsikt i risiko som endrer seg, står organisasjoner overfor:

Økt risiko for datainnbrudd. Uoppdaterte sårbarheter og feilkonfigurasjoner blir åpne dører for angripere.
Økonomiske tap. Brudd fører ofte med seg høye kostnader, inkludert lavere produktivitet, nedetid og tapt forretning.
Juridiske og regulatoriske sanksjoner. Manglende etterlevelse av regler for databeskyttelse og personvern kan føre til bøter eller rettslige skritt.
Omdømmeskade. Kunder og partnere mister raskt tilliten etter en sikkerhetshendelse.

Anbefalte fremgangsmåter for å gjennomføre en risikovurdering for cybersikkerhet

En risikovurdering for cybersikkerhet er bare så sterk som prosessen bak den. Ved å følge anbefalte fremgangsmåter blir vurderingene effektive, repeterbare og i tråd med forretningsprioriteringer.

Start med tydelige mål

Før du går i gang, er det viktig å definere hva vurderingen skal oppnå. Det kan bety å identifisere kritiske ressurser og mulige trusler, oppfylle krav til etterlevelse, redusere sannsynligheten for hendelser eller gi grunnlag for fremtidige sikkerhetsinvesteringer. Tydelige mål fra starten av bidrar til at vurderingen holder seg fokusert, relevant og handlingsrettet gjennom hele prosessen.

Involver de riktige interessentene

En risikovurdering er ikke bare en IT-oppgave — den trenger innspill fra hele organisasjonen. Sikkerhets- og IT-teamene bidrar med den tekniske ekspertisen, mens juss og forskriftssamsvar gir veiledning om regulatorisk risiko. Drift og HR kan belyse prosess- og personellbekymringer, mens ledergruppen har ansvar for samsvar med forretningsmål. Når flere perspektiver er med, blir det enklere å fange opp et bredt spekter av risikoer, fra feilkonfigurasjoner i programvare til menneskelig atferd.

Velg mellom intern eller ekstern vurdering

Det finnes ingen enkel beste tilnærming til å gjennomføre en risikovurdering. Interne vurderinger er ofte mer kostnadseffektive og drar nytte av intern kunnskap, men de kan overse blinde flekker eller mangle spesialiserte verktøy. Eksterne vurderinger gir et friskt, upartisk perspektiv og dypere ekspertise, men de kan være dyrere, og personene som gjennomfører vurderingen kjenner som regel de interne systemene dårligere. Mange organisasjoner velger en hybrid tilnærming: interne team tar de jevnlige gjennomgangene, mens eksterne eksperter kobles inn for dypere analyser eller når forskriftssamsvar krever det.

Velg riktig strategi for risikohåndtering

Når risikoene er identifisert, må organisasjoner bestemme hvordan de skal håndteres. Noen risikoer kan aksepteres hvis de holder seg innenfor virksomhetens toleranse. Andre kan unngås helt ved å fjerne systemet eller aktiviteten som introduserer dem. Risiko kan også overføres til en tredjepart, for eksempel gjennom forsikring eller kontraktsavtaler. Som regel velger organisasjoner å redusere risiko ved å bruke kontroller som senker sannsynlighet eller konsekvens til et akseptabelt nivå. Riktig strategi avhenger av forretningsmål, risikovilje og tilgjengelige ressurser.

Dokumenter alt

Nøyaktig dokumentasjon er avgjørende for både kortsiktig og langsiktig suksess. Det hjelper organisasjoner med å holde seg i samsvar med bransjeregler, følge endringer og trender over tid og ta raskere og bedre informerte beslutninger. God dokumentasjon effektiviserer også revisjoner, forenkler sikkerhetsgjennomganger og sørger for kontinuitet selv når team eller systemer endrer seg.

Gå videre med funnene

Verdien av en risikovurdering ligger i hvordan resultatene brukes. Sårbarheter med høy risiko bør håndteres først, og utbedringstiltak bør være i tråd med de overordnede sikkerhetsmålene. Tildel ansvar for hver handling, følg opp fremdriften og evaluer på nytt jevnlig for å sikre at forbedringene varer. Se på funnene som en del av en kontinuerlig prosess — ikke en engangshendelse — og bygg oppfølging inn i sikkerhetskulturen.

Vurder med riktig frekvens

Teknologien utvikler seg raskt, og trusselaktiviteten gjør det også. Det betyr at risikovurderinger bør gjennomføres mer enn én gang i året, særlig i miljøer med høy risiko. Bransjer som finans og helsevesen vurderer ofte på nytt hvert kvartal eller hvert halvår. Mindre virksomheter gjør det kanskje årlig eller etter store endringer i infrastrukturen. Skybaserte eller raskt voksende virksomheter kan trenge enda hyppigere vurderinger for å holde tritt med endringer i angrepsflaten. Det er også lurt å vurdere på nytt etter store hendelser som sammenslåinger, datainnbrudd eller regulatoriske oppdateringer.

Nye trender innen risikovurdering for cybersikkerhet

Over tid blir risikovurdering for cybersikkerhet raskere, mer kontinuerlige og mer integrert i forretningsbeslutninger. Tradisjonelle vurderinger — manuelle, periodiske og reaktive — erstattes av smartere, sanntidsbaserte tilnærminger som tilpasser seg nye trusler og miljøer.

Verktøy med KI-støtte vil få en større rolle ved å automatisere oppgaver som identifisering av ressurser, skanning etter sårbarheter og risikoskåring. Disse teknologiene støtter mennesker ved å avdekke mønstre og hjelpe team med å svare raskere.

Risikovurderinger blir også mer dynamiske. I stedet for å være årlige eller kvartalsvise avkrysningspunkter, vil de fungere som kontinuerlige prosesser. Virksomheter overvåker kontinuerlig angrepsflaten sin — spesielt i skybaserte, hybride eller svært distribuerte miljøer — slik at de kan identifisere og vurdere risiko på nytt etter hvert som systemene endrer seg.

Vi kommer også til å se mer integrasjon mellom cybersikkerhet og forretningsstrategi. Etter hvert som styrer og ledere blir mer bevisste på risiko, vil cybersikkerhetsrisiko bli behandlet som finansiell eller operasjonell risiko — med tydelige måleparametere, definert eierskap og en plass ved bordet. Vurderinger vil ikke bare påvirke sikkerhetsbudsjettet, men også forretningsplanlegging, produktdesign og digital transformasjon.

Til slutt får menneskelige faktorer mer oppmerksomhet. Tekniske kontroller er bare én del av bildet — virksomheter vil i økende grad vurdere og håndtere risiko knyttet til atferd, kultur og motstandsdyktighet i arbeidsstyrken. Det betyr å vurdere ikke bare systemer og programvare, men også hvordan mennesker jobber, hvordan beslutninger tas, og hvor godt team tilpasser seg under press.

Løsninger for risikovurdering for cybersikkerhet

For å ligge foran nye trusler og ta cybersikkerhet inn i de overordnede forretningsbeslutningene, bør du legge inn en jevnlig risikovurdering for cybersikkerhet i sikkerhetsdriften. Flere løsninger kan hjelpe deg med å etablere en effektiv prosess. Sikkerhetsinformasjon og hendelseshåndtering (SIEM)-løsninger, som Microsoft Sentinel, hjelper med å korrelere hendelser, identifisere avvik og prioritere varsler med innebygd analyse og trusselinformasjon. Utvidede oppdagelses- og responsløsninger (XDR) gir dyp innsikt i potensielle angrepsbaner på tvers av endepunkter, identiteter, e-post og skyapper. Å bringe SIEM og XDR sammen til én enhetlig SecOps-løsning hjelper forsvarere med å se risikoer på tvers av hele sin digitale eiendom og iverksette koordinerte tiltak raskere. KI for cybersikkerhetsløsninger, som Microsoft Security Copilot, forstår signaler for å avdekke innsikt og anbefale neste steg.

RESSURSER

Mer informasjon om cybersikkerhetsløsninger fra Microsoft Security

En mann holder i et nettbrett og forklarer noe til en kvinne.

Løsning

KI-drevet, enhetlig SecOps

Samle sikkerhetsoperasjoner på tvers av forebygging, oppdagelse og respons for bedre og mer tilpasningsdyktig beskyttelse.

Mer informasjon

En person som sitter ved et skrivebord og bruker en datamaskin.

Portal for trusselbeskyttelse

Nyheter om cybersikkerhet og kunstig intelligens

Oppdag de nyeste trendene og anbefalte fremgangsmåter innen datatrusselbeskyttelse og kunstig intelligens for cybersikkerhet.

Få de nyeste ressursene

En mann i dress og slips sitter ved et skrivebord med en bærbar datamaskin.

Rapport

Microsoft-rapport om digitalt forsvar for 2024

Hold deg i forkant av det endrede trusselbildet med grundig forskning og handlingsrettet innsikt.

Skaff deg rapporten

En risikovurdering for cybersikkerhet innebærer vanligvis å identifisere ressurser, finne mulige trusler og sårbarheter, analysere sannsynligheten for og konsekvensen av disse truslene, bestemme risikonivåer og velge riktige risikohåndteringstiltak. Prosessen avsluttes med dokumentasjon og implementering av strategier for å redusere risiko, etterfulgt av løpende overvåking og jevnlig ny vurdering. Denne strukturerte tilnærmingen hjelper virksomheter med å håndtere og redusere den samlede risikoutsattheten.
En sikkerhetsrisikovurdering inkluderer en gjennomgang av maskinvare, programvare, nettverk, data og brukeratferd for å identifisere potensielle sårbarheter. Den vurderer også eksisterende sikkerhetskontroller, analyserer den mulige virkningen av ulike trusler og anbefaler tiltak for å redusere eller håndtere risiko. Målet er å få oversikt over sikkerhetshull og prioritere ressursene effektivt.
NIST-risikovurderingen viser til metoden som er beskrevet av National Institute of Standards and Technology i Special Publication 800-30, revisjon 1. Den gir et rammeverk for å identifisere, vurdere og håndtere cybersikkerhetsrisiko på tvers av føderale etater og virksomheter i privat sektor. NIST-modellen er mye brukt fordi den har en strukturert og repeterbar tilnærming til risikoanalyse.